Les attaques contre les identités se comptent désormais en centaines de millions de tentatives par jour, d’après les rapports de Microsoft — l’écrasante majorité visant simplement le mot de passe. Face à cette industrialisation, une mesure reste la plus rentable de toute la cybersécurité :
Selon Microsoft, activer l’authentification multifacteur (MFA) réduit de 99 % le risque de compromission d’un compte.
Pourquoi le mot de passe seul ne suffit plus
Les attaquants n’essaient plus les mots de passe « à la main » : des botnets testent en continu des millions de combinaisons (credential stuffing) issues des fuites de données. Si vous réutilisez un mot de passe, la compromission d’un vieux compte oublié — un réseau social inutilisé, un forum — peut mener droit à votre messagerie professionnelle, puis à tout le reste : la messagerie sert à réinitialiser tous les autres mots de passe.
Cette page vous a aidé ? C’est notre métier.
- Support 8h-20h · 7j/7
- SOC 24/7
- < 10 min
- Équipe dédiée
Comment fonctionne la MFA
L’authentification multifacteur exige une seconde preuve d’identité en plus du mot de passe : notification sur une application mobile, code temporaire, clé de sécurité physique ou biométrie. Même si votre mot de passe fuite, l’attaquant se heurte à ce second facteur. À activer en priorité sur la messagerie et les comptes administrateurs — puis partout.
2026 : toutes les MFA ne se valent plus
Depuis nos premiers articles sur le sujet, les attaquants se sont adaptés. Deux techniques contournent aujourd’hui les MFA les plus faibles :
- La « MFA fatigue » (push bombing) : l’attaquant, muni du mot de passe, déclenche des dizaines de notifications jusqu’à ce que la victime, excédée, approuve. Parade : le « number matching » (saisir un nombre affiché à l’écran) plutôt que le simple bouton Approuver ;
- Le phishing AiTM (adversary-in-the-middle) : des kits de phishing clés en main relaient en temps réel la vraie page de connexion, volent le code MFA et la session. Parade : la MFA résistante au phishing — clés de sécurité FIDO2 et passkeys, cryptographiquement liées au vrai site, impossibles à rejouer sur un site frauduleux.
La hiérarchie 2026, du minimum au robuste : SMS < code d’application (TOTP) < notification avec number matching < FIDO2/passkey. Pour les comptes à privilèges et les dirigeants, la MFA résistante au phishing devrait être la norme.
Au-delà de la MFA : verrouiller l’identité
La MFA est le socle, pas le plafond. Un environnement durci ajoute : des politiques d’accès conditionnel (bloquer les connexions depuis des pays ou appareils inhabituels), la désactivation des protocoles d’authentification hérités, et une surveillance des connexions anormales — c’est l’un des rôles d’un SOC 24/7. C’est exactement le périmètre de notre offre de durcissement de la sécurité.
La MFA fait partie des fondamentaux que nous détaillons dans notre guide des bonnes pratiques cybersécurité pour PME. Pour vérifier en 2 minutes l’état de la configuration publique de votre domaine : pré-diagnostic gratuit.